Gewinne:
- Wenden Sie Bewertungskriterien an, bevor Sie ein KI-Tool kaufen
- Erkennen der Punkte, auf die in der Datenverarbeitungsvereinbarung (DPA) und der Musterkarte zu achten ist
- Erstellen Sie die Liste der genehmigten Fahrzeuge und die Risikobewertung des Anbieters
Was machen Sie, wenn eine Geschäftseinheit an Ihre Tür kommt und sagt: „Wir wollen dieses neue KI-Tool nutzen, es wird sehr nützlich sein“? „Auf keinen Fall“ zu sagen, speist die Schatten-KI; „Okay“ zu sagen eröffnet ein unkontrolliertes Risiko. Die richtige Antwort ist die Durchführung eines Fahrzeugbewertungsprozesses. In dieser Einheit erfahren wir, welche Fragen vor dem Kauf/der Zertifizierung eines KI-Fahrzeugs gestellt werden müssen, worauf bei einem Datenverarbeitungsvertrag (DPA) und einer Modellkarte zu achten ist und wie wir all dies in eine Liste zugelassener Fahrzeuge und eine Anbieterrisikobewertung umwandeln können.
Warum ist eine Evaluation notwendig?
Jedes KI-Tool ist ein Datenverarbeiter: Es verarbeitet die Daten der Organisation. Die Genehmigung des falschen Tools bedeutet, dass die persönlichen Daten der Organisation unkontrolliert an Dritte (und oft auch ins Ausland) weitergegeben werden. Kernfragen, die vor der Genehmigung eines Werkzeugs beantwortet werden müssen:
- Wo werden Daten verarbeitet und gespeichert (in welchem Land)?
- Werden unsere Daten im Modelltraining verwendet? Kann es deaktiviert werden (Opt-out)?
- Bietet es eine Datenverarbeitungsvereinbarung (DPA) an?
- Gibt es Sicherheitszertifizierungen (z. B. ISO 27001)?
- Wie lange wird der Chatverlauf gespeichert und kann er gelöscht werden?
- Gibt es eine Verpflichtung, uns zu benachrichtigen, wenn eine Sicherheitsverletzung vorliegt?
Datenverarbeitungsvereinbarung (AVV)
Die Datenverarbeitungsvereinbarung (DPA) ist ein zwischen dem Datenverantwortlichen (Institution) und dem Datenverarbeiter (KI-Anbieter) unterzeichneter Vertrag, der festlegt, wie die Daten verarbeitet werden. KVKK und DSGVO schreiben dies weitgehend vor. Elemente, auf die Sie in einem DPA achten sollten:
Angelegenheit
Was soll es bieten?
Umfang und Zweck der Verarbeitung
Lassen Sie den Anbieter nur nach unseren Weisungen tätig werden
Unterauftragsverarbeiter
An wen wird es übertragen? Wird es im Voraus benachrichtigt?
Transfersicherung
Standardvertragsklauseln oder gleichwertige Klauseln
Sicherheitsmaßnahmen
Verschlüsselung, Zugriffskontrolle, ISO 27001
Benachrichtigung über Verstöße
Benachrichtigen Sie uns innerhalb einer bestimmten Frist im Falle eines Verstoßes
Löschung/Rückgabe
Verpflichtung zur Löschung/Rückgabe der Daten bei Vertragsende
Recht auf Prüfung
Möglichkeit, den Anbieter zu prüfen oder Berichte zu erhalten
Achtung: Die meisten „kostenlosen“ und „individuellen“ KI-Pläne bieten kein DPA und verwenden möglicherweise Daten für das Modelltraining. Für die Nutzung durch Unternehmen sollten Unternehmens-/Geschäftspläne bevorzugt werden, die DPA bieten und ein Opt-out im Bildungsbereich garantieren. Der kostenlose Plan ist oft der Plan, bei dem Daten „bezahlt“ werden.
Modellkarte und Transparenz
Eine Modellkarte ist ein Dokument, das erklärt, wofür ein KI-Modell konzipiert ist, mit welchen Daten es trainiert wird, welche Einschränkungen es hat und welche Risiken bekannt sind. Ein guter Anbieter teilt dies. Worauf Sie bei der Modellkarte achten sollten: Verwendungszweck des Modells, bekannte Einschränkungen und Risiken von Verzerrungen, nicht empfohlene Verwendungen sowie Leistungs-/Sicherheitshinweise. Wenn die Modellkarte fehlt oder sehr vage ist, ist das an sich schon ein Warnzeichen.
drei Mini-Koffer
Fall 1 – Kosten des kostenlosen Plans. Ein Buchhaltungsteam beginnt mit der Verarbeitung von Kundenfinanzdaten mit einem kostenlosen KI-Tool. Das Tool bietet keine DPA an und gibt in seinen Bedingungen an, dass es die Daten für das Modelltraining verwenden kann. Der Compliance-Beauftragte bemerkt dies und verbietet das Tool und genehmigt eine Unternehmensalternative, die DPA anbietet. Differenz: ein paar hundert TL pro Monat für Lizenz usw. Mögliche Geldstrafen in Millionenhöhe.
Fall 2 – Überraschung des Unterauftragsverarbeiters. Monate später stellt ein Unternehmen bei einer Prüfung fest, dass das von ihm zugelassene KI-Tool Daten an Unterauftragsverarbeiter in drei verschiedenen Ländern übermittelt hat. Da es im DPA keine Klausel „Unterauftragsverarbeiter müssen im Voraus benachrichtigt werden“ gibt, war sich das Unternehmen nicht darüber im Klaren. Lektion: Eine Klausel im DPA, die die Unterprozessorkette sichtbar macht, ist ein Muss.
Fall 3 – Entscheidung durch Wertung. Eine Organisation erstellt eine 8-Kriterien-Risikobewertungstabelle für Anbieter, um drei KI-Tools zu vergleichen (DPA, Datenspeicherort, Schulungs-Opt-out, ISO 27001, Benachrichtigung bei Verstößen, Löschung, Musterkarte, Preis). Das Bewertungsergebnis hebt das Tool hervor, das nicht das beliebteste, aber das kompatibelste ist. Die Entscheidung basiert auf einer dokumentierbaren Bewertung und nicht auf einem subjektiven „Es hat mir gefallen“.
Tipp: Verwalten Sie die Liste der zugelassenen Fahrzeuge als „Whitelist“: Lassen Sie nur Fahrzeuge zu, die auf der Liste stehen. Die Blacklist muss mit jedem neuen Tool aktualisiert werden und hinkt immer einen Schritt hinterher; Whitelisting ist standardmäßig sicher.
Ausstiegs- und Suchtrisiko
Die Frage, die die meisten Agenturen bei der Genehmigung eines Fahrzeugs ignorieren, lautet: „Was passiert, wenn wir dieses Fahrzeug verlassen wollen?“ Eine gute Bewertung berücksichtigt sowohl den Austritt als auch den Eintritt. Zwei Risiken stechen hervor. Das erste ist die Datenportabilität: Können Sie Ihre Daten und Konfigurationen in einem Standardformat zurückerhalten, wenn Sie den Anbieter verlassen, oder sind die Daten beim Anbieter gesperrt? Der zweite Grund ist die Abhängigkeit vom Anbieter: Geschäftsprozesse können so an ein einziges Tool gebunden sein, dass die Ausstiegskosten unerträglich werden, wenn der Anbieter die Preise erhöht oder den Service unterbricht.
Aus diesem Grund empfiehlt es sich, dem Bestätigungsdatensatz auch eine Zeile „Ausstiegsplan“ hinzuzufügen: Wie erhalten wir die Daten zurück, welches alternative Tool gibt es und wie lange dauert die Umstellung? Selbst wenn der Anbieter den Dienst eines Tages einstellt, ist die Organisation vorbereitet.
Achtung: Nur weil ein Fahrzeug beliebt oder günstig ist, heißt das nicht, dass es nachhaltig ist. Kleinere Anbieter können schließen, aufgekauft werden oder plötzlich ihre Richtlinien ändern. Bevor Sie einen kritischen Prozess mit einem einzelnen Tool verbinden, überlegen Sie sich das Ausstiegsszenario.
Kopierbare Vorlagen
VORLAGE 1 – Fragensatz zur Anbieterbewertung: „Bereiten Sie Bewertungsfragen vor, die Sie dem Anbieter stellen müssen, bevor Sie ein neues KI-Tool genehmigen. Dazu gehören: Datenspeicherort, Verwendung und Opt-out in der Modellschulung, DPA-Präsenz, Sicherheitszertifikate, Aufbewahrungsfrist, Benachrichtigung bei Verstößen, Unterauftragsverarbeiter, Löschverpflichtung. Geben Sie auf jede Frage die erwartete „sichere“ Antwort an.“
VORLAGE 2 – Checkliste für DPA-Klauseln: „Überprüfen Sie den DPA-Entwurf unten [Text einfügen] auf die folgenden Klauseln: Umfang der Verarbeitung, Unterauftragsverarbeiter, Übertragungsgarantie, Sicherheitsmaßnahmen, Benachrichtigungszeitraum für Verstöße, Löschung/Rückgabe, Recht auf Prüfung. Markieren Sie für jede Klausel „vorhanden/fehlt/unsicher“. Denken Sie daran, dass eine rechtliche Genehmigung erforderlich ist; fällen Sie keine abschließenden Urteile.“
VORLAGE 3 – Anbieter-Risiko-Scoreboard: „Erstellen Sie ein Risiko-Scoreboard mit 8 Kriterien, um drei KI-Tools zu vergleichen: DPA, Datenstandort, Schulungs-Opt-out, ISO 27001, Benachrichtigung bei Verstößen, Löschung, Musterkarte, Kosten. Lassen Sie jedes Kriterium 0–3 Punkte haben, fügen Sie die Gesamt- und Empfehlungsspalte hinzu. Geben Sie eine leere Vorlage, ich werde sie ausfüllen.“
VORLAGE 4 – Eintrag in der Liste genehmigter Tools: „Entwerfen Sie einen neuen Eintrag in der Liste genehmigter KI-Tools: Name des Tools, genehmigter Verwendungszweck, zulässige Datenklassen (öffentlich/intern/vertraulich), verbotene Datentypen, verantwortliche Einheit, Genehmigungsdatum, Überprüfungsdatum. Im einzeiligen Datensatzformat.“
Schwache Eingabeaufforderung / Starke Eingabeaufforderung
SCHWACH: „Ist dieses KI-Tool sicher?“ -> Wiederholt das Marketingversprechen des Modelltools; Konkrete Kriterien wie DPA, Datenstandort, Trainingsnutzung werden nicht bewertet. STARK: „Ich werde dieses KI-Tool für den Einsatz in Unternehmen evaluieren. Welche Informationen sollte ich vom Anbieter auf der Grundlage der folgenden 8 Kriterien anfordern (DPA, Datenspeicherort, Schulungs-Opt-out, ISO 27001, Benachrichtigung bei Verstößen, Speicherung, Unterauftragsverarbeiter, Modellkarte) und was sollte der „akzeptable“ Schwellenwert in jedem Kriterium sein? Geben Sie es im Checksheet-Format an.“ -> Das Modell erzeugt einen konkreten, überprüfbaren Bewertungsrahmen.
Häufige Fehler
- Nutzung kostenloser/individueller Pläne mit Unternehmensdaten; Mir ist nicht bewusst, dass es keine DPA und kein Opt-out gibt.
- Genehmigung des Tools auf der Grundlage von Marketingversprechen, nicht nach Datenstandort und pädagogischer Nutzung.
- Weitergabe von Daten ohne Unterzeichnung eines DPA oder Prüfung der Unterauftragsverarbeiterklausel.
- Ohne Fragen ein Fahrzeug ohne/unsichere Modellkarte genehmigen.
- Eine Verbotsliste statt einer Whitelist führen und bei jedem neuen Fahrzeug zurückbleiben.
- Keine erneute Überprüfung des Fahrzeugs nach der Genehmigung (Änderung der Bedingungen).
- Die Anbieterauswahl basiert auf subjektiven Präferenzen und nicht auf einer zertifizierbaren Bewertung.
Zusammenfassend
- Jedes KI-Tool ist ein Datenverarbeiter; Eine systematische Bewertung ist vor der Genehmigung unerlässlich.
- Der Datenverarbeitungsvertrag (DPA) ist das grundlegende Dokument, das die Daten bindet; Es sollte Klauseln zum Umfang, zum Unterauftragsverarbeiter, zur Sicherheit, zu Verstößen und zur Löschung enthalten.
- Kostenlose/individuelle Pläne bieten oft keine DPA und nutzen Daten nicht für Schulungen; Unternehmenspläne sollten bevorzugt werden.
- Die Modellkarte zeigt die Grenzen und Risiken des Modells; Sein Fehlen ist ein Warnzeichen.
- Zugelassene Tools sollten als Whitelist verwaltet werden und Anbieter sollten mit einer dokumentierbaren Risikobewertung verwaltet werden.
Anwendungsaufgabe
Wählen Sie drei echte KI-Tools aus, die Ihr Unternehmen möglicherweise verwenden möchte. Erstellen Sie eine Risikobewertungstabelle für Anbieter mit acht Kriterien (DPA, Datenstandort, Schulungs-Opt-out, Sicherheitszertifizierung, Benachrichtigung bei Verstößen, Aufbewahrung, Modellkarte, Kosten) und bewerten Sie jedes Fahrzeug anhand dieser Kriterien mit einer Note von 0 bis 3. Schreiben Sie dann einen Eintrag in der Liste der genehmigten Fahrzeuge für das Fahrzeug mit der höchsten Punktzahl: genehmigter Verwendungszweck, zulässige Datenklassen, verbotene Datentypen, verantwortliche Stelle und Überprüfungsdatum. Notieren Sie sich abschließend fünf Punkte, die Sie auf jeden Fall im DPA eines Fahrzeugs sehen möchten, und erklären Sie, warum jeder einzelne davon wichtig ist.
Checkliste
- [ ] Ich habe Bewertungsfragen gestellt, bevor ich das Tool genehmigt habe.
- [ ] Ich habe den Datenspeicherort und den Anwendungsfall im Modelltraining geklärt.
- [ ] Ich habe die Existenz von DPA und seinen kritischen Elementen überprüft.
- [ ] Ich habe die Modellkarte untersucht; Ich habe die Grenzen und Risiken gesehen.
- [ ] Ich habe den Anbieter anhand einer dokumentierbaren Risikobewertung bewertet.
- [ ] Ich habe das Tool zur Whitelist mit zulässigen Datenklassen hinzugefügt.
- [ ] Ich habe ein Überprüfungsdatum festgelegt.